Datenschutzhinweise im Rahmen des Beschwerdeverfahrens bei Schwarmfinanzierern nach Art. 7 ECSP-VO

Neben den klassischen Bankfinanzierungen hat sich in den letzten Jahren die Schwarmfinanzierung (engl. Crowdfunding) als Finanzierungsquelle etabliert. Das Besondere bei einer Schwarmfinanzierung ist, dass Projekte durch eine Vielzahl von Menschen finanziell unterstützt und so möglich gemacht werden.

Bislang fehlte in Europa ein einheitlicher Regulierungsrahmen, der eine innerhalb der EU grenzüberschreitende Erbringung von Schwarmfinanzierungsdienstleistungen ermöglicht hätte. Aus diesem Grund wurde die Verordnung (EU) 2020/1503 über Europäische Schwarmfinanzierungsdienstleister für Unternehmen (ECSP-VO) verabschiedet, die am 10.11.2021 in Kraft trat.

Im Rahmen dieses Regelwerks wird unter anderem ein Beschwerdeverfahren festgelegt (Art. 7 ECSP-VO), das für Kunden von Schwarmfinanzierungsdienstleistungen gedacht ist. Bei dessen Einrichtung und Durchführung gilt es für die Verpflichteten, unbedingt die Regelungen der Datenschutz-Grundverordnung (DSGVO) zu beachten!

Was ist Schwarmfinanzierung?

Schwarmfinanzierung, im englischen „Crowdfunding“ genannt, ist eine Form der Finanzierung bestimmter Projekte und Ideen. Der Kern dieses Finanzierungsmodells besteht darin, dass mehrere Menschen mithilfe ihres Investments die Realisierung eines Projektes ermöglichen. Über spezielle Crowdfunding-Plattformen werden Vorhaben präsentiert, um so finanzielle Unterstützung zu generieren.

Was ist die ECSP-VO?

Mit der „Verordnung über Europäische Schwarmfinanzierungsdienstleister für Unternehmen“ (ECSP-VO), die am 10.11.2021 in Kraft trat, hat der europäische Gesetzgeber für bestimmte Crowdfunding-Angebote ein umfangreiches Regelwerk geschaffen.

Adressaten der aus der ECSP-VO folgenden Pflichten sind schwerpunktmäßig die Schwarmfinanzierungsdienstleister, also gem. Art. 2 I lit. e) ECSP-VO die juristischen Personen, die Schwarmfinanzierungsdienstleistungen erbringen.

Der persönliche Anwendungsbereich der Verordnung gilt daher gemäß Art. 1 II lit. a) ECSP-VO nicht bei Schwarmfinanzierungsdienstleistungen für Projektträger, die als Verbraucher i. S. v. Art. 3 lit. a) der Verbraucherkreditrichtlinie anzusehen sind. Dies liegt daran, dass der europäische Gesetzgeber mit der ECSP-VO einen europäischen Crowdfunding-Markt für die Unternehmensfinanzierung schaffen wollte.

Sachlich ist der Anwendungsbereich auf solche Geschäftsmodelle verengt, die eine ökonomische Zielsetzung verfolgen. So fallen beispielsweise Spendenaufrufe per Schwarmfinanzierung aus dem Anwendungsbereich der ECSP-VO heraus.

Das Beschwerdeverfahren nach Art. 7 ECSP-VO

Die ECSP-VO sieht vor, dass Kunden die Möglichkeit zur Beschwerde haben müssen. Zu diesem Zweck wurde in Art. 7 ECSP-VO ein standardisiertes Beschwerdeverfahren festgelegt.

Nach Art. 7 Abs. 1 ECSP-VO müssen Schwarmfinanzierungsdienstleister über wirksame und transparente Verfahren für die umgehende, faire und einheitliche Bearbeitung von Kundenbeschwerden verfügen. Die Verfahren müssen darüber hinaus so gestaltet sein, dass Kunden unentgeltlich Beschwerden einreichen können (Art. 7 Abs. 2 ECSP-VO). Wurde eine Beschwerde eingereicht, müssen Schwarmfinanzierungsdienstleister gemäß Art. 7 Abs. 4 ECSP-VO dieser zeitnah, auf faire Weise nachgehen und der sich beschwerenden Person das Ergebnis innerhalb einer angemessenen Frist mitteilen.

Um Beschwerden entgegennehmen und bearbeiten zu können, müssen Schwarmfinanzierungsdienstleister eine Standardvorlage für Beschwerden entwickeln, die sie Kunden zur Verfügung stellen (Art. 7 Abs. 3 ECSP-VO).

Hierzu hat die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) bereits technische Regulierungsstandards zu Vorschriften, Standardformaten und Verfahren für die Bearbeitung von Beschwerden konsultiert, die am 10. November 2021 an die Europäische Kommission übermittelt wurden und demnächst als sog. Level-2 Rechtsakt erlassen werden sollen.

Die DSGVO und das Beschwerdeverfahren nach Art. 7 ECSP-VO

Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung, die am 25. Mai 2016 in Kraft trat und nach einer zweijährigen Schonfrist seit dem 25. Mai 2018 Anwendung findet. Ziel der Verordnung ist der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zugleich der freie Verkehr dieser Daten (vgl. Art. 1 DSGVO). Zu diesem Zweck enthält die DSGVO Regelungen über den Umgang mit personenbezogenen Daten und den damit einhergehenden Rechten von Betroffenen.

Gemäß Art. 7 ECSPO-VO müssen Schwarmfinanzierungsdienstleister Kundenbeschwerden entgegennehmen, aufzeichnen, bearbeiten und den sich beschwerenden Personen ein Ergebnis mitteilen. Um dies gewährleisten zu können, müssen die Schwarmfinanzierungsdienstleister die einzelnen Beschwerden den jeweils sich beschwerenden Personen zuordnen können. Ohne Zuordnungsmöglichkeit kann schon mindestens die Pflicht zur Rückmeldung nicht erfüllt werden. Im Zuge dessen bedarf es einer Zuordnungsmöglichkeit, die durch Mitteilung von Namen, Adressen und/ oder E-Mail-Adressen (usw.) der sich Beschwerenden hergestellt wird.

Bei Namen, Adressen und E-Mail-Adressen handelt es sich um personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO, da diese sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Werden diese zur Rückmeldung durch den Schwarmfinanzierungsdienstleister verwendet, findet eine Verarbeitung dieser Daten im Sinne von Art. 4 Nr. 2 DSGVO statt. Daher ist neben dem räumlichen Anwendungsbereich (Art. 3 DSGVO) auch der sachliche Anwendungsbereich der DSGVO eröffnet. Aus diesem Grund müssen die Schwarmfinanzierungsdienstleister bei Rückmeldungen an die sich beschwerenden Personen die Rechte und Pflichten der DSGVO sowie die Grundsätze der Zweckbindung, Datenminimierung, Transparenz, Rechtmäßigkeit, Datensicherheit und Speicherfristen beachten.

Eine Verarbeitung von personenbezogenen Daten bedarf einer Rechtsgrundlage, um rechtmäßig zu sein. Dies gilt auch für die Verarbeitung von personenbezogenen Daten im Rahmen des Beschwerdeverfahrens nach Art. 7 ECSP-VO. Da die Verarbeitung aufgrund der Rückmeldung auf Kundenbeschwerden erforderlich ist, stellt Art. 6 Abs. 1 S. 1 lit. b) DSGVO die richtige Rechtsgrundlage dar.

Des Weiteren obliegen den Schwarmfinanzierungsdienstleistern als Verantwortliche der Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO gegenüber den von der Verarbeitung betroffenen Personen Informationspflichten aus Art. 13 DSGVO. Hiernach müssen Verantwortliche die Betroffenen über folgendes informieren:

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. a), lit. b) DSGVO).
• Zweck und Rechtsgrundlage der Verarbeitung (Art. 13 Abs. 1 lit. c) DSGVO).
• Empfänger oder Kategorien von Empfängern der verarbeiteten Daten (Art. 13 Abs. 1 lit. e) DSGVO).
• Dauer der Datenspeicherung bzw. Kriterien für die Festlegung der Dauer (Art. 13 Abs. 2 lit. a) DSGVO).
• Rechte der betroffenen Personen nach Art. 12 bis 23 DSGVO (Art. 13 Abs. 2 lit. b) DSGVO).
• Bestehen eines Beschwerderechts bei der Aufsichtsbehörde (Art. 13 Abs. 2 lit. d) DSGVO).

Die Informationspflichten aus Art. 13 DSGVO werden erfüllt, wenn die Sicherungsdienstleister ihren Beschwerdeformularen einen entsprechenden Datenschutzhinweis beifügen oder einen Datenschutzhinweis in die Datenschutzerklärung ihrer Webseite integrieren und einen Link mit Sprungmarke zu diesem Passus auf der Unterseite zum Beschwerdeverfahren hinterlegen.

Fazit

Die DSGVO und die ECSP-VO sind zwei verschiedene Gesetze mit jeweils anderem Regelungsgegenstand. Während die ECSP-VO unternehmerisches Crowdfunding innerhalb der EU regelt, sind allgemeine Datenschutzregelungen und -anforderungen Gegenstand der DSGVO. Dies bedeutet jedoch nicht, dass datenschutzrechtliche Anforderungen der DSGVO ignoriert werden dürfen. Werden insbesondere personenbezogene Daten im Sinne von Art. 4 Nr. 2 DSGVO verarbeitet, so gelten in jedem Fall die Regelungen der DSGVO, unabhängig davon, ob gerade ein durch ein anderes Gesetz geregeltes Verfahren durchgeführt wird.

Im Rahmen des Beschwerdeverfahrens sind Schwarmfinanzierungsdienstleister gemäß Art. 7 Abs. 4 ECSP-VO dazu verpflichtet, Kunden eine Rückmeldung auf deren Beschwerden zu geben. Im Zuge dessen müssen Beschwerden jeweils zugeordnet werden können, was wiederum durch eine Verarbeitung von personenbezogenen Daten ermöglicht wird. Rechtsgrundlage für diese Verarbeitung bildet Art. 6 Abs. 1 S. 1 lit. b) DSGVO.

Daneben obliegen den Schwarmfinanzierungsdienstleistern als Verantwortliche der Verarbeitung Informationspflichten aus Art. 13 DSGVO, die sie gegenüber den betroffenen Personen erfüllen müssen. Die Informationspflichten sind erfüllt, wenn den Beschwerdeformularen ein entsprechender Datenschutzhinweis beigefügt oder ein solcher Hinweis in die Datenschutzerklärung ihrer Webseite integriert und ein Link mit Sprungmarke zu diesem Passus auf der Unterseite zum Beschwerdeverfahren hinterlegt wird.

Falls weitere Fragen hinsichtlich der Schwarmfinanzierung, der ECSP-VO und des Beschwerdeverfahrens nach Art. 7 ECSP-VO bestehen oder Sie Hilfe bezüglich der datenschutzkonformen Umsetzung des Beschwerdeverfahrens nach Art. 7 ECSP-VO benötigen, kontaktieren Sie uns gerne.